Un correo comprometido, un documento eliminado o una aplicación que deja de funcionar pueden afectar de formas muy distintas a una empresa. Antes de decidir qué medidas implantar, conviene entender qué puede ocurrir, qué consecuencias tendría y qué protección existe actualmente.
El análisis de riesgos ayuda a ordenar esas decisiones. Dentro de un proyecto de ISO 27001, permite relacionar la seguridad de la información con los servicios, las personas y las prioridades del negocio.
En este artículo utilizamos un caso ficticio para explicar cómo empezar. Las escalas y valoraciones son ilustrativas: deben adaptarse a la realidad de cada organización.
1. Qué es un análisis de riesgos de seguridad de la información
Un análisis de riesgos permite comprender las situaciones que podrían comprometer la información y valorar su importancia para la empresa.
Para ello, conviene considerar tres aspectos:
- Confidencialidad: que la información llegue a personas que no deberían acceder a ella.
- Integridad: que se modifique o destruya indebidamente.
- Disponibilidad: que no esté accesible cuando se necesita.
Por ejemplo, el acceso indebido al correo de administración podría permitir consultar contratos, modificar instrucciones de pago o impedir que el equipo trabaje con normalidad.
La descripción «riesgo del correo» resulta demasiado genérica. Es más útil concretar qué podría suceder, por qué y a quién afectaría.
2. El punto de partida: una pyme de servicios
Imaginemos una empresa de 20 personas que utiliza:
- Correo electrónico en la nube.
- Un espacio compartido para documentos de clientes.
- Una aplicación de gestión y facturación.
- Un proveedor externo de soporte informático.
Para este ejemplo, estudiamos la información utilizada en la prestación del servicio y en la administración de la empresa.
Antes de valorar los riesgos, necesitamos conocer cómo se utilizan esas herramientas, quién accede y qué medidas están funcionando. Si todavía estás reuniendo esa información, puedes consultar qué documentos necesitas para empezar a implantar ISO 27001.
También conviene identificar al propietario de cada riesgo: la persona con responsabilidad y autoridad para gestionarlo. Puede necesitar apoyo técnico, pero la decisión afecta al negocio y no debería recaer automáticamente en el proveedor informático.
3. Cómo identificar situaciones de riesgo concretas
Una forma práctica de describir un riesgo es relacionar una situación, una debilidad y sus posibles consecuencias.
Por ejemplo:
Una persona obtiene la contraseña de una cuenta de administración mediante un correo fraudulento. Como la cuenta no tiene autenticación multifactor, podría acceder a mensajes de clientes y enviar instrucciones de pago falsas.
En nuestro caso ficticio identificamos estas tres situaciones:
| Situación de riesgo | Posibles consecuencias | Medidas existentes y limitaciones |
|---|---|---|
| Acceso indebido al correo de administración | Exposición de información y envío de mensajes fraudulentos | Filtro de correo y contraseñas individuales; algunas cuentas no tienen MFA |
| Eliminación accidental de documentos de clientes | Retrasos, pérdida de trabajo y dificultad para prestar el servicio | Historial de versiones y papelera; no se ha comprobado la recuperación |
| Indisponibilidad de la aplicación de gestión | Interrupción de tareas administrativas y de facturación | Soporte contratado; no se ha definido una alternativa de trabajo |
Estas situaciones son un punto de partida. Un análisis real debe considerar los riesgos relevantes para el alcance definido, incluidos los relacionados con personas, procesos, instalaciones y proveedores.
Una forma práctica de describir un riesgo es relacionar una situación, una debilidad y sus posibles consecuencias.
Por ejemplo:
Una persona obtiene la contraseña de una cuenta de administración mediante un correo fraudulento. Como la cuenta no tiene autenticación multifactor, podría acceder a mensajes de clientes y enviar instrucciones de pago falsas.
En nuestro caso ficticio identificamos estas tres situaciones:
| Situación de riesgo | Posibles consecuencias | Medidas existentes y limitaciones |
|---|---|---|
| Acceso indebido al correo de administración | Exposición de información y envío de mensajes fraudulentos | Filtro de correo y contraseñas individuales; algunas cuentas no tienen MFA |
| Eliminación accidental de documentos de clientes | Retrasos, pérdida de trabajo y dificultad para prestar el servicio | Historial de versiones y papelera; no se ha comprobado la recuperación |
| Indisponibilidad de la aplicación de gestión | Interrupción de tareas administrativas y de facturación | Soporte contratado; no se ha definido una alternativa de trabajo |
Estas situaciones son un punto de partida. Un análisis real debe considerar los riesgos relevantes para el alcance definido, incluidos los relacionados con personas, procesos, instalaciones y proveedores.
4. Cómo valorar la probabilidad y el impacto
Para comparar los riesgos necesitamos criterios que puedan aplicarse de forma coherente.
La probabilidad expresa cómo de factible es que ocurra la situación. Para estimarla podemos considerar la exposición, los incidentes anteriores, las debilidades identificadas y la eficacia de las medidas existentes.
El impacto refleja las consecuencias: interrupción de servicios, pérdidas económicas, exposición de información o incumplimiento de compromisos, entre otras.
Para nuestro ejemplo utilizamos una escala sencilla:
| Valor | Probabilidad | Impacto |
|---|---|---|
| 1 — Bajo | Poco probable en las condiciones observadas y con medidas verificadas | Consecuencias limitadas y recuperables mediante el trabajo habitual |
| 2 — Medio | Situación plausible, con exposición o debilidades parciales | Retrasos relevantes, trabajo adicional o afectación limitada a clientes |
| 3 — Alto | Exposición importante y debilidades que facilitan que ocurra | Interrupción grave, fraude o exposición de información sensible |
Estas descripciones necesitan concretarse para cada empresa. Por ejemplo, la organización debe definir qué duración de una interrupción considera grave y qué tipos de información requieren mayor protección.
En este ejercicio calculamos el nivel multiplicando probabilidad por impacto. Es una opción didáctica, no una fórmula impuesta por ISO 27001.
La valoración ficticia sería:
| Riesgo | Probabilidad | Impacto | Resultado |
|---|---|---|---|
| Acceso indebido al correo | 3 | 3 | 9 |
| Eliminación accidental de documentos | 2 | 2 | 4 |
| Indisponibilidad de la aplicación | 2 | 3 | 6 |
La empresa del ejemplo decide dar prioridad a los resultados de 6 y 9, planificar actuaciones para los de 3 y 4 y valorar la aceptación de los de 1 y 2.
Estos criterios se acuerdan antes de evaluar. Una puntuación baja tampoco permite ignorar una obligación contractual o un requisito aplicable.
5. Cómo convertir el resultado en un plan de actuación
La valoración debe conducir a decisiones concretas.
Según la situación, la empresa puede reducir el riesgo mediante controles, evitar la actividad que lo origina, compartir determinadas consecuencias mediante acuerdos o seguros, o retenerlo de forma justificada.
Contratar un proveedor o un seguro no elimina automáticamente el riesgo ni todas las responsabilidades de la organización.
Para nuestro caso, proponemos estas actuaciones:
| Riesgo | Actuación propuesta | Coordinación | Evidencia de comprobación |
|---|---|---|---|
| Acceso indebido al correo | Completar el despliegue de MFA, revisar accesos y reforzar la verificación de cambios de cuenta bancaria | Responsable de administración con soporte informático | Configuración revisada, pruebas de acceso y procedimiento de verificación |
| Eliminación de documentos | Revisar permisos, comprobar las opciones de recuperación y valorar si hace falta protección adicional | Responsable del servicio con soporte informático | Prueba documentada de restauración |
| Indisponibilidad de la aplicación | Revisar compromisos del proveedor y preparar una alternativa temporal de trabajo | Responsable de operaciones | Procedimiento y prueba de continuidad |
El plan debe recoger también responsables de ejecución, fechas, recursos y seguimiento.
No basta con indicar «mejorar la seguridad». Cada actuación debe permitir comprobar qué se ha hecho y si está consiguiendo el resultado previsto.
6. Qué es el riesgo residual
El riesgo residual es el que permanece después de aplicar las medidas de tratamiento.
Activar MFA puede reducir la probabilidad de determinados accesos indebidos, pero no elimina todas las formas de comprometer una cuenta. Tampoco hace que una posible exposición de información deje de tener consecuencias graves.
Por eso, conviene distinguir entre:
- El riesgo residual previsto: el que esperamos alcanzar con las actuaciones propuestas.
- El riesgo residual reevaluado: el que estimamos una vez implantadas y comprobadas las medidas.
No debemos reducir la puntuación únicamente porque una actuación figure como completada. Primero hay que verificar su funcionamiento y revisar las condiciones del riesgo.
El propietario del riesgo debe aprobar el plan de tratamiento y aceptar el riesgo residual conforme a los criterios y las responsabilidades establecidos por la organización.
7. Cómo se relaciona con la Declaración de Aplicabilidad
El análisis y el tratamiento de riesgos ayudan a determinar qué controles necesita la empresa.
La Declaración de Aplicabilidad recoge los controles necesarios, su justificación y su estado de implantación, junto con la justificación de las exclusiones de controles del Anexo A.
La selección también debe considerar requisitos legales, contractuales y otras necesidades de la organización.
Por ejemplo, el riesgo de acceso indebido al correo puede justificar medidas relacionadas con autenticación, gestión de accesos y concienciación. Un mismo riesgo puede requerir varios controles, y un control puede contribuir a tratar varios riesgos.
Por eso, la Declaración de Aplicabilidad no se prepara simplemente copiando la tabla del análisis de riesgos.
8. Errores habituales y cuándo revisar el análisis
Al empezar, conviene evitar estos errores:
- Copiar riesgos genéricos sin relacionarlos con los servicios de la empresa.
- Asignar puntuaciones sin explicar el criterio utilizado.
- Considerar eficaz una medida solo porque está contratada o instalada.
- Confundir al propietario del riesgo con quien ejecuta una tarea técnica.
- Dar por reducido un riesgo antes de comprobar las actuaciones.
- Preparar el análisis para la auditoría y no utilizarlo después.
La organización debe planificar revisiones y reevaluar cuando existan cambios significativos. Una nueva aplicación, un proveedor diferente, un incidente o un cambio en los servicios pueden alterar las conclusiones anteriores.
Lo importante es que el análisis siga ayudando a decidir dónde actuar.